Linux学习：tcpdump表达式及命令参数详解例子

1：tcpdump抓取各种类型的包。
tcp规则只有一套，但是它有两种用途。一个是用于显示抓取到的包、另一个是用于抓包。
当然有些options只能用于抓取包，有些options只能用于显示包。同时、tcpdump命令提供表达式，此项功能可以过滤掉我们抓到大包，只去显示或存储
我们想要的包。废话不多说，下面开始介绍tcp。（这其中我也有许多参数弄不明白、希望懂的人能够再评论区下方加以评论）。

首先、是总体看tcp这个命令都有哪些opitons 。

    
    tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ]
                             [ -c count ]
                             [ -C file_size ] [ -G rotate_seconds ] [ -F file ]
                             [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ]
                             [ --number ] [ -Q in|out|inout ]
                             [ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ]
                             [ -W filecount ]
                             [ -E spi@ipaddr algo:secret,...  ]
                             [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]
                             [ --time-stamp-precision=tstamp_precision ]
                             [ --immediate-mode ] [ --version ]
                             [ expression ]
从上述可以看的出来、tcp有许多选项，我会将我不懂的地方标记出来、希望各位大神能够加以讨论。
我这里可能不是按照上述书写的顺序定义。
-i：指定我们要抓取的接口。
-D：列出我们可以使用该命令抓取包的网络接口。如下图所示

-c：代表抓取指数目的包就停止抓取，如下图所示。

从图中我们可以看到，当我们抓到5个包之后就停止抓取了。
-Q：指定过滤输入或者输出的包，如下图所示，我们只抓输入的包。如下图所示，我们使用ping命令ping本地地址，所以我们只能抓到in的包，却抓不到output的包。

-w：此选项是将抓到的包输入到指定的文件中，而不去限制到终端上。
-r：此选项是用于显示抓取都的包，但是具体显示细节还需要其他的参数进行控制。

如下图所示，是我们使用此命令抓取和显示的包。

-s：指定我们每个抓取包保存数据的大小，默认情况下是64bit。如下图所示，名下看到两次抓到的包存储到文件中文件的大小不一样。

-Z：此命令用于指定包的所有者和所属组，如下图所示，默认的情况下、包的所有者和所属组都是tcpdump，但是我们指定后，包的所有者和所属组就是我们指定的。

-F：此选项用于从指定文件中读取过滤表达式，但是使用此选项后、命令行中的表岛是将不会起作用。关于表达是这部分之后会进行讲解。
-v、-vv、-vvv：此选项用于详细显示消息，带有v的根数越多，显示的月详细。

如图所示，带v参数显示的更加详细。
-t、-tt、-ttt、-tttt：此选项用于包显示或者不显示时间和显示时间格式的设定<-t：不显示时间。-tt：显示时间戳。-ttt：显示和上一次抓包的时间间隔。-tttt：以年月日时分秒进行显示>：如下图所示。

 --immediate-mode：此选项有点类似于我们c标准IO函数的缓冲，指定这个选项便没有这个缓冲，直接将包送达。
 -B：指定缓冲的大小，也就是我们能够抓取多大缓冲的包。
 -C：指定我们存储抓取到的包文件的大小
 上述这两个选项我实在有些分不清，缓冲的大小和指定文件的大小有什么区别呢。
 
 我不知道怎么用的选项：
  --time-stamp-precision=tstamp_precision
    -E spi@ipaddr algo:secret,...
 -G rotate_seconds ：此选项可以理解为轮询、他需要配合其他选项使用。如-C、当我们将文件抓满的时候，我们就会还是会继续抓、并且覆盖掉之前抓到的内容。
  -W filecount。
    

接下来我们介绍一下表达式。

表达式的作用是过滤掉我们抓到的包，我们可以再抓取的时候进行过滤，同时我们也可以再显示的时候进行过滤。

过滤包就是抓到我们想要的包：我们可以过滤指定包的协议、包的类型、包的传输源和目的和包中一些关键字进行过滤。同时我们也可以指定包中的内容进行过滤。
由于协议很多，我们抓到的包种类也有很多，因此、我们这里只用icmp作为例子进行介绍，同时man手册中的内容有许多我也不是很懂，我只是从过滤包的大体方向进行介绍。
如果想要了解更过内容、或者抓包的例子我这里没有介绍，可以参考man手册、然后搜索对应的关键字就可以。一般的情况下很容易搜索到对应的内容。

type：这里介绍过滤包的host、net、port、portrange字段，[host是主机（例如192.168.3.1),net是使用的网络(例如192.168.3.0 mask是255.255.255）]port是发送或者接受的端口、
portrange是发送或者接受的端口范围。如下图所示、说明net和host

dir：此字段说明传输的源于目的一些信息，这部分和type字段联合使用，可以抓指定源ip或目的ip的端口。当然、man手册还有许多用法，我这里就不一一介绍了。
proto：此字段指定我们过滤使用的协议，如udp、tcp。

最后我们介绍一下如果过滤指定类型的包，或者根据包中某些字段的值进行过滤。如下图所示、是man手册上一个简单例子。

我们这里给出一个抓指定icmp类型的包。

同时man手册中还有许多这样的定义，我们再下图中给出一些。

抓取广播

抓取包的长度大于或者小于某一个数。